Le site spécialisé LeakedSource vient de mettre la main sur une gigantesque base de données volée appartenant à la société américaine AdultFriendFinder, gérant de multiples sites de rencontre. On dénombre 412 millions de comptes utilisateurs piratés au total, et le hack prend la tête du classement pour la plus grosse fuite de 2016…
C’est un piratage massif dont a été victime la société américaine de rencontre adultes en ligne Friend Finder Network Inc. en octobre 2016 : quelques 412 millions de comptes utilisateurs sont concernés (cela représente 20 ans de données clients conservées). Il s’agit là du nouveau record de fuite de données privées de l’année 2016, MySpace arrivant en second avec 360 millions de comptes piratés ! Parmi les services piratés, on retrouve en tête AdultFriendFinder.com, le site se décrivant comme “la plus grande communauté d’échangistes au monde”, avec 339 millions de comptes en fuite.
Le site spécialisé LeakedSource a pu mettre la main sur une base de données contenant les données de pas moins de 412 millions de comptes, provenant de plusieurs services en ligne réservés au plus de 18 ans, sur lesquelles il a publié un rapport complet. Les autres données piratées proviennent notamment des sites Web Cams.com et Penthouse.com :
- Adultfriendfinder.com avec 339 774 493 utilisateurs concernés
- Cams.com avec 62 668 630 utilisateurs concernés
- Penthouse.com avec 7 176 877 utilisateurs concernés
- Stripshow.com avec 1 423 192 utilisateurs concernés
- iCams.com avec 1 135 731 utilisateurs concernés
- Autre domaine inconnu avec 35 372 utilisateurs concernés
En résumé, si vous avez déjà communiqué vos données à l’un des sites du réseau Friend Finder Network Inc., sachez que vos données sont compromises et dans la e-nature (même si votre inscription remonte à plusieurs années). Si vos identifiants sont susceptibles d’avoir été utilisés ailleurs sur Internet, modifiez-les en vitesse, si ce n’est pas trop tard.
“Nous avons identifié et corrigé une vulnérabilité relative à une possibilité d’accéder au code source via une injection. FriendFinder prend la sécurité de ses informations utilisateurs très au sérieux et offrira des mises à jour au fur et à mesure de l’enquête.“
Penthouse.com a quand à lui reconnu le piratage de ses données clients (même si personne n’explique pourquoi Friend Finder Network possédait ces dites données alors que ce site avait été revendu) :
“Nous sommes conscients du piratage des données et nous attendons que FriendFinder nous donne un compte rendu détaillé de la portée du vol et de leurs mesures correctives à l’égard de nos données“, a déclaré Kelly Holland, directrice générale du site, dans un courriel parvenu samedi. Kelly Holland a confirmé que le site “ne recueille pas de données concernant les préférences sexuelles des membres“.
Notons que ce n’est pas la première fois que le site pour adulte AdultFriendFinder est victime d’un piratage : cela s’était déjà produit à une moindre échelle en 2015, lorsque des cybercriminels s’étaient emparé des données de 64 millions de membres, exposant entre autres leur orientation sexuelle et leurs centres d’intérêt parfois très intimes. Cette fois, à titre exceptionnel, LeakedSource ne rendra pas disponible les données piratées, pour protéger la vie privée des victimes.
Nature des données piratées
Concernant les informations exfiltrées lors de ce dernier piratage d’envergure, cela se “limite” cette fois aux noms d’utilisateurs et mots de passe, aux adresses IP, aux logs de connexion, aux informations de facturation pour les VIP et à quelques éléments complémentaires qui concernent tout particulièrement l’éventuelle détention du statut VIP…
Mais autre problème, le stockage des mots de passe dérobés. En effet, d’après LeakedSource, près d’un tiers d’entre eux étaient simplement stockés en clair dans les bases de données, tandis que les autres sont juste protégés via l’algorithme obsolète SHA1, sans ajout de grain de sel (salt).
Du coup, LeakedSource s’est penché sur les dits mots de passe. Le bilan n’est pas relisant ! Ainsi, sur les 339 millions de mots de passe associés à AdultFriendFinder, LeakedSource a pu facilement en craquer 99,3 % d’entre eux. Les taux sont similaires pour Cams.com (96,8 %) et Penthouse (99,9 %). Les données ont été testées par échantillons prélevés au hasard dans l’immense base et se sont avérées bien réelles.
Une cyberattaque ciblée
L’attaque se serait produite quasiment au même moment où le chercheur en sécurité informatique baptisé Revolver a révélé une faille critique sur le site AdultFriendFinder (vulnérabilité de type LFI – inclusion de fichier local), permettant potentiellement à un attaquant d’exécuter à distance du code malveillant sur le serveur Web. Par contre, impossible de savoir actuellement qui est l’auteur du piratage, qui n’a pas été revendiqué. Le hacker Revolver a nié qu’il était derrière cette affaire, et a fait porté la responsabilité aux utilisateurs d’un site de hacking russe.
Tout le monde attends maintenant un communiqué officiel de la maison mère, reconnaissant la fuite de données massive et les fautes de sécurité commises qui ont permis ce vol…
En clair c’est un site de rencontre international pour adulte qui a été piraté!
Les commentaires sont fermés.